Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

Résumé Technique : La Détection de Performance des Microservices Basée sur des Graphes Peut-Elle Être Utilisée pour la Détection d'Intrusion dans les Microservices ?

Énoncé du Problème
Les architectures de microservices génèrent des flux riches de télémétrie (métriques, journaux et traces distribuées) qui sont traditionnellement analysés séparément pour la détection d'anomalies de performance et la détection d'intrusion. La surveillance des performances se concentre sur la latence et la consommation de ressources, tandis que la détection d'intrusion vise les comportements malveillants. Cependant, dans les systèmes de microservices, ces domaines se chevauchent : les attaques se manifestent souvent par des symptômes de performance (par exemple, une latence accrue, des taux de requêtes inhabituels ou des chemins de dépendance de service altérés). Cet article examine si les méthodes basées sur les graphes, conçues à l'origine pour la détection d'anomalies de performance, peuvent servir efficacement de fondement à la détection d'intrusion dans les microservices. La question centrale est de savoir si la modélisation des dépendances de service sous forme de graphes permet de classifier les requêtes normales par rapport aux requêtes intrusives, et comment les différentes modalités de télémétrie contribuent à cette détection.

Méthodologie
L'étude emploie une conception expérimentale reproductible utilisant un benchmark synthétique de commerce électronique composé de microservices, déployé via Docker Compose. Le système se compose de six services : frontend, auth, catalog, cart, order et payment.

• Collecte de Données : Les auteurs ont mené 50 essais contrôlés couvrant cinq types d'attaques (inondation HTTP, force brute de connexion, sonde d'injection SQL, sonde de type SSRF et simulation d'exfiltration) sous des charges de travail normales. Cela a généré 21 438 graphes d'appels au niveau des requêtes étiquetés.
• Représentation en Graphes : Chaque trace de requête est convertie en un graphe $G_i = (V_i, E_i, X_i, y_i)$.
  • Nœuds ($V_i$) : Représentent les services impliqués dans une requête.
  • Arêtes ($E_i$) : Représentent les relations d'appel à l'exécution observées dans la trace (symétrisées pour le passage de messages).
  • Caractéristiques ($X_i$) : Un vecteur de 25 dimensions par nœud, concaténant 16 dimensions TF-IDF issues de journaux horodatés et 9 dimensions issues de métriques de performance par service.
  • Étiquettes ($y_i$) : Six classes (normale plus cinq types d'attaques).
• Modèles :
  • Basés sur des Graphes : Un réseau de convolution graphique (GCN) supervisé à deux couches utilisant un pooling moyen pour la classification au niveau du graphe.
  • Bases de Référence Non Graphiques : Des classificateurs Random Forest et Perceptron Multicouche (MLP) entraînés sur des caractéristiques de journaux et de métriques aplatis.
• Stratégie d'Évaluation : L'étude compare une « division aléatoire au niveau du graphe » (optimiste, dans la distribution) à une « division au niveau de l'essai » (plus stricte, garantissant aucune fuite de données entre les essais d'entraînement et de test). Elle inclut également une ablation de modalité (testant des entrées uniquement traces, uniquement journaux et uniquement métriques) et une analyse de l'exécution.

Résultats Clés

1. Performance de Base (Division Aléatoire) : Sous une division aléatoire, le GCN à deux couches a atteint une précision de test de 96,2 % et un F1 macro de 0,955. Cela établit un point de référence optimiste dans la distribution.
2. Généralisation (Division au Niveau de l'Essai) : Lorsqu'évalué sous la division au niveau de l'essai plus stricte (testant la généralisation à travers différentes exécutions expérimentales), la performance du GCN a chuté significativement à un F1 macro de 0,777.
3. Supériorité des Méthodes Non Graphiques : De manière surprenante, sous la division au niveau de l'essai, les bases de référence non graphiques (Random Forest et MLP) ont surpassé le GCN, obtenant des scores F1 macro de 0,980 et 0,974, respectivement. Cela suggère que les caractéristiques de journaux et de métriques conçues sont hautement discriminantes, même sans passage de messages dans le graphe.
4. Ablation de Modalité :
   • Structure de Trace Seule : Insuffisante pour la détection (F1 macro 0,405), indiquant que la topologie du chemin d'appel seule ne peut pas identifier toutes les sémantiques d'attaque.
   • Journaux et Métriques : Les deux modalités ont considérablement amélioré la détection par rapport aux seules caractéristiques de trace. Les métriques ont été particulièrement efficaces pour les attaques visibles en termes de performance (par exemple, l'inondation HTTP), tandis que les journaux ont aidé à détecter les sondes sémantiques (par exemple, l'injection SQL).
   • Combinaison : La combinaison des journaux et des métriques a produit la précision la plus élevée (0,879), bien que l'entraînement court de 5 époques ait limité la capacité du GCN à équilibrer la performance des classes par rapport aux seules métriques.
5. Analyse des Erreurs : Le GCN a eu le plus de difficultés avec les attaques de « force brute de connexion » (le rappel est tombé à 0,033 lors de l'exécution exploratoire), les classifiant souvent comme normales. Ces attaques préservaient des chemins de requête d'apparence normale, nécessitant des caractéristiques temporelles ou d'événements de sécurité plus fortes que celles utilisées par le GCN peu profond.

Signification et Revendications
L'article conclut que la détection de performance des microservices basée sur des graphes est une fondation utile mais pas un remplacement complet pour la détection d'intrusion consciente de la sécurité.

• Utilité : Les représentations de graphes au niveau des requêtes connectent avec succès les chemins d'appel aux symptômes de performance et aux événements de sécurité, ce qui en fait un substrat prometteur pour la détection d'intrusion, en particulier pour les attaques qui perturbent le comportement du service ou les structures de dépendance.
• Limites : Le GCN peu profond actuel ne surpasse pas encore les bases de référence non graphiques fortes sur l'ensemble de caractéristiques conçu. L'étude souligne que les méthodes basées sur les graphes doivent être évaluées par rapport à des bases de référence aplatie fortes et nécessitent des caractéristiques plus riches (par exemple, attributs d'arêtes, agrégation temporelle) et un entraînement conscient des classes pour revendiquer une supériorité.
• Réponse Nuancée : L'approche est la plus efficace lorsque les attaques créent des empreintes de performance visibles ou altèrent les modèles de journaux. Les attaques qui sont sémantiquement malveillantes mais opérationnellement silencieuses peuvent ne pas produire d'anomalies fortes détectables par les méthodes de graphes actuelles sans contexte supplémentaire.

Les auteurs positionnent ce travail comme une étape exploratoire, fournissant un benchmark reproductible et démontrant que, bien que les structures de graphes préservent des informations de dépendance précieuses, la valeur immédiate pour la détection d'intrusion dans cette configuration spécifique réside actuellement dans la qualité des caractéristiques conçues (journaux et métriques) plutôt que dans l'architecture du graphe elle-même.